1. Amaç

Bu belge, Marfin’in müşteriler adına kişisel veri işlerken yararlanabileceği alt işleyenleri şeffaf biçimde açıklamak amacıyla hazırlanmıştır.

Liste özellikle aşağıdaki bilgileri göstermeyi hedefler:

• sağlayıcının adı,
• kullanılan ürün veya hizmet,
• veri işleme amacı,
• işlenebilecek veri kategorileri,
• ilgili kişi grupları,
• sağlayıcının hukuki rolü,
• işleme ülkesi veya bölgesi,
• saklama yaklaşımı,
• yurt dışına aktarım mekanizması,
• kullanım durumu,
• son doğrulama tarihi.

---

2. Alt İşleyen Nedir?

Alt işleyen, Marfin’in müşteriye sunduğu hizmet kapsamında müşteri adına yürüttüğü kişisel veri işleme faaliyetinin tamamını veya bir bölümünü gerçekleştiren üçüncü taraf hizmet sağlayıcıdır.

Bir sağlayıcı her işlemde mutlaka alt işleyen olmayabilir.

Aynı sağlayıcı:

• bazı işlemlerde alt işleyen,
• bazı işlemlerde bağımsız veri sorumlusu,
• bazı işlemlerde veri işlemeyen teknik hizmet sağlayıcı

konumunda olabilir.

Rol, gerçek veri akışına ve sözleşmeye göre belirlenir.

---

3. Durum Etiketleri

Yayımlanan müşteri sürümünde yalnızca gerekli statüler gösterilmelidir.

---

4. ALT İŞLEYENLER VE HİZMET SAĞLAYICILARI

Bu liste periyodik olarak gözden geçirilir ve güncellenir. Yurt dışına aktarım yapan her sağlayıcı bakımından, Kişisel Verileri Koruma Kurulu bu belgenin yürürlük tarihi itibarıyla herhangi bir ülke için yeterlilik kararı yayımlamadığından, Marfin'in aktarım mekanizması KVKK m.9 uyarınca Kurul'un ilan ettiği Standart Sözleşme'dir (Veri Sorumlusundan Veri Sorumlusuna veya Veri Sorumlusundan Veri İşleyene). Standart Sözleşme, ilgili yurt dışı taraf ile imzalanır ve imza tarihinden itibaren 5 iş günü içinde Kurul'a bildirilir.

4.1. Supabase

---

4.2. Cloudflare

---

4.3. İyzico

---

4.4. Resend (E-Posta Sağlayıcısı)

---

4.5. OpenAI

---

4.6. Anthropic

---

4.7. Ürün Analitiği

Marfin şu an ayrı bir ürün analitiği sağlayıcısı kullanmamaktadır. İleride bir sağlayıcı eklenirse bu liste güncellenir.

---

4.8. Sentry (Hata ve Performans İzleme)

---

4.9. İzibiz (E-Dönüşüm Entegratörü)

---

4.10. Banka / Açık Bankacılık Sağlayıcısı

Marfin şu an bir banka/açık bankacılık sağlayıcısı entegrasyonunu üretimde kullanmamaktadır. Entegrasyon devreye alındığında bu liste güncellenir.

---

4.11. Amazon SP-API (Pazaryeri Entegrasyonu)

---

5. YENİ ALT İŞLEYEN BİLDİRİMİ

Marfin, Müşteri Verisini işleyecek yeni ve esaslı bir alt işleyeni devreye almadan önce müşteriye makul bildirimde bulunur.

Standart hedef bildirim süresi:

15 takvim günü

Bildirim:

• kayıtlı e-posta,
• hesap içi duyuru,
• bu listenin değişiklik bildirim sistemi

üzerinden yapılabilir.

Acil güvenlik, hizmet sürekliliği veya zorunlu sağlayıcı değişikliğinde daha kısa süre uygulanabilir.

---

6. MÜŞTERİNİN İTİRAZ HAKKI

Müşteri, yeni alt işleyen bildiriminden sonra:

10 takvim günü

içinde makul ve belgeli veri koruma gerekçesiyle itiraz edebilir.

İtiraz:

• etkilenen veri kategorisini,
• somut güvenlik veya hukuk riskini,
• talep edilen çözümü

açıklamalıdır.

Taraflar şu çözümleri değerlendirebilir:

• ek güvenlik tedbiri,
• ilgili özelliğin kapatılması,
• veri kapsamının azaltılması,
• alternatif sağlayıcı,
• aktarım mekanizmasının değiştirilmesi.

Çözüm bulunamazsa DPA’daki fesih veya hizmet sınırlandırma hükümleri uygulanır.

---

7. SAĞLAYICI DEĞİŞİKLİĞİ VE KALDIRMA

Bir sağlayıcı kaldırıldığında:

1. yeni veri aktarımı durdurulur,
2. erişim anahtarı ve bağlantılar iptal edilir,
3. gerekli veri dışa aktarımı yapılır,
4. sözleşmedeki silme veya iade süreci başlatılır,
5. saklama süresinin sonunda silme teyidi alınır,
6. liste “Pasif” veya “Kaldırıldı” olarak güncellenir.

Yasal saklama veya güvenlik zorunluluğu bulunan kayıtlar sınırlı süre tutulabilir.

---

8. ALT İŞLEYEN DEĞERLENDİRME KRİTERLERİ

Marfin bir sağlayıcıyı üretime almadan önce aşağıdaki konuları değerlendirir:

• şirket ve sözleşme tarafı,
• veri işleme rolü,
• veri merkezi ve işleme ülkesi,
• güvenlik tedbirleri,
• erişim ve gizlilik kontrolleri,
• alt işleyen zinciri,
• ihlal bildirimi,
• saklama ve silme,
• yedekleme,
• veri taşınabilirliği,
• yurt dışı aktarım mekanizması,
• hizmet sürekliliği,
• sözleşmenin sona erme koşulları.

Yalnızca pazarlama sayfasındaki genel güvenlik beyanları yeterli kabul edilmez; sözleşme ve gerçek ürün ayarları incelenir.

---

9. MÜŞTERİYE SUNULACAK BİLDİRİM ŞABLONU

Konu: Marfin Alt İşleyen Değişikliği

Marfin hizmetlerinin sunulması kapsamında kullanılan alt işleyenler listesinde değişiklik yapılacaktır.

Yeni/değişen sağlayıcı: [SAĞLAYICI]
Hizmet: [HİZMET]
Planlanan başlangıç tarihi: [TARİH]
İşlenecek veri kategorileri: [VERİ KATEGORİLERİ]
İşleme ülkesi/bölgesi: [ÜLKE/BÖLGE]
Yurt dışı aktarım mekanizması: [MEKANİZMA]

Veri koruma bakımından makul ve belgeli bir itirazınız varsa bildirimin size ulaşmasından itibaren 10 takvim günü içinde [İLETİŞİM ADRESİ] üzerinden bize iletebilirsiniz.

---

10. DEĞİŞİKLİK GEÇMİŞİ

Her sağlayıcı değişikliğinde:

• eklenen,
• kaldırılan,
• rolü veya bölgesi değişen

sağlayıcı açıkça belirtilmelidir.

---

11. İLETİŞİM

Alt işleyenlerle ilgili sorular için:

E-posta: destek@marfin.com.tr
Resmî bildirim e-postası: bilgi@marfin.com.tr
Adres: Mevlana Mah. Yunus Emre Cad. No: 60 İç Kapı No: A, Gebze/Kocaeli

---

12. İLGİLİ BELGELER

• Gizlilik Politikası
• Veri İşleme Sözleşmesi (DPA)
• Yurt Dışına Veri Aktarım Eki
• AI Veri İşleme Politikası
• Üçüncü Taraf Entegrasyon Politikası

---

BELGE SONU

Bu belge, Marfin Hukuki Dokümantasyon Projesi kapsamında hazırlanmıştır.

Yürürlük tarihi: 6 Ağustos 2026